linux安全加固需融合边界防护、日志审计、权限管控与持续运维：收敛暴露面、强化ssh与防火墙策略；清理冗余账户、限制sudo权限、锁定关键文件；启用rsyslog/auditd并配置远程日志；定期更新补丁、核查内核参数、维护安全基线。

Linux系统边界防护和日志审计不是两个孤立模块，而是“谁在访问”和“谁干了什么”的一体两面。真正有效的加固，是让攻击者难以进来，进来后也难藏住、难跑掉、难掩盖痕迹。

收敛网络暴露面，守住第一道门

边界防护的起点不是写防火墙规则，而是先看清自己开了哪些口子：

• 运行 ss -tulpn 查所有监听端口，重点关注 0.0.0.0:22、0.0.0.0:3306 这类全网监听的服务；对外无需访问的，改 bind_address = 127.0.0.1 或服务配置里限定内网IP
• SSH必须改默认端口（如22222），禁用 PermitRootLogin yes 和 PasswordAuthentication yes，只保留密钥登录
• 防火墙默认策略设为拒绝：iptables -P INPUT DROP，再按需放行——比如只允许办公网段连SSH、只允许负载均衡器访问Web端口
• 用 fail2ban 监控 /var/log/secure，对SSH暴力尝试自动封IP（例如5分钟内失败3次，封24小时）

收紧身份与权限，切断横向移动路径

很多入侵成功不是因为漏洞多，而是权限太松、账户太多：

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

• 清理冗余账户：awk -F: '$3==0 && $1!="root"' /etc/passwd 查非root的UID 0账户，删或锁定；usermod -L 锁定90天未登录的账号
• 普通用户不给sudo全权，用 visudo 精确授权，例如：%ops ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx
• 关键文件加不可修改锁：chattr +i /etc/passwd /etc/shadow /etc/sudoers；敏感目录如 /etc/ssh 权限设为 750，属主属组为 root:root
• 定期扫描SUID/SGID文件：find / -perm -4000 -o -perm -2000 2>/dev/null，只保留 ping、su、sudo 等必需项

构建可验证的日志链条，让行为有迹可循

没有审计能力的安全，就像没装监控的金库——门锁再牢，丢了也不知道是谁拿的：

• 确保 rsyslog 和 auditd 都在运行：systemctl enable --now rsyslog auditd
• 把关键操作全部纳入审计：在 /etc/audit/rules.d/audit.rules 中添加规则，例如
  -w /etc/passwd -p wa -k user_change
-w /etc/shadow -p wa -k shadow_change
-a always,exit -F arch=b64 -S execve -k command_exec
• 设置日志权限：chmod 640 /var/log/secure /var/log/audit/audit.log，属主属组为 root:adm
• 启用远程日志，把本机日志发到独立日志服务器（如使用 rsyslog 的 @log-server:514 配置），防止被入侵后清空本地日志
• sudo操作单独记日志：在 /etc/sudoers 加 Defaults logfile="/var/log/sudo.log"，并确保该文件权限为 600

补丁与基线，让防护持续有效

再好的策略，如果系统长期不更新、配置没人核对，也会慢慢失效：

• 定期执行系统更新：yum update -y（RHEL/CentOS）或 apt update && apt upgrade -y（Debian/Ubuntu），尤其关注内核、OpenSSH、Nginx等核心组件
• 检查内核安全参数是否启用，例如在 /etc/sysctl.conf 中确认：
  net.ipv4.tcp_syncookies = 1（防SYN Flood）
  net.ipv4.conf.all.accept_source_route = 0（禁IP源路由）
  kernel.randomize_va_space = 2（启用ASLR）
• 建立并维护一份安全基线清单：记录当前开放端口、特权账户、关键服务版本、日志配置等，每次变更都同步更新，作为后续巡检和应急响应的依据